DNS-Verwaltung

mandal · 25. August 2015

Teste gerade die DNS Verwaltung mit DNSSEC und erhalte auf den Slaves (LCClients) immer folgenden Fehler im messages log:

Code

Aug 25 17:48:54 s20 named[20728]: dumping master file: tmp-WA3cp1329J: open: permission denied

Auf dem Master habe ich im /var/named/dynamic/ die Zonen die erstellt werden nur die werden nicht auf die Slaves übertragen... entweder stehe ich da irgendwie auf dem Schlauch oder irgend was stimmt da nicht...

LC: 1.9.0
OS: CentOS 7.1.1503 (Core)
BIND: 9.9.4-RedHat-9.9.4-18.el7_1.3 (Extended Support Version)

Grüsse
ManDal

HBO · 27. August 2015

Das Problem hatten wir auf unserem Secondary auch, hier gehörte /var/named root:named
Prüfe das mal, muss named:named sein.

Grüße

mandal · 27. August 2015

Tatsache, jetzt tauch der Fehler nicht mehr auf nur erhalte ich jetzt einen neuen...

Aug 27 13:19:33 s30 named[28135]: client 94.126.20.150#37240/key lc-c12227ff: received notify for zone 'w2k.info': TSIG 'lc-c12227ff'
Aug 27 13:19:33 s30 named[28135]: zone w2k.info/IN: Transfer started.
Aug 27 13:19:33 s30 named[28135]: transfer of 'w2k.info/IN' from 94.126.20.150#53: connected using 37.187.118.58#52040
Aug 27 13:19:33 s30 named[28135]: transfer of 'w2k.info/IN' from 94.126.20.150#53: resetting
Aug 27 13:19:33 s30 named[28135]: transfer of 'w2k.info/IN' from 94.126.20.150#53: connected using 37.187.118.58#44596
Aug 27 13:19:33 s30 named[28135]: transfer of 'w2k.info/IN' from 94.126.20.150#53: failed while receiving responses: REFUSED
Aug 27 13:19:33 s30 named[28135]: transfer of 'w2k.info/IN' from 94.126.20.150#53: Transfer completed: 0 messages, 0 records, 0 bytes, 0.077 secs (0 bytes/sec)

mandal · 27. August 2015

Sollten nicht die Zonenfiles auch auf den Slaves im /var/named/dynamic liegen?
Da befindet sich bei mir nur managed-keys.bind/.bin.jnl die aber alte werte enthalten...

HBO · 27. August 2015

Dann gehts auch hier weiter wie bei uns. Unter Liveconfig gibts vor allem dann Problem sofern man auf eth0 eine IP hat und auf eth0:1 zBsp eine zweite, diese aber für DNS nutzt.

Vergleiche mal die /etc/named/keys.liveconfig, hier dürfte beim Slave der "server" Eintrag fehlen.

Solltest du nicht die eth0 IP sondern eine zweite IP auf dem 2nd DNS nutzen so musste in /etc/named.conf noch die query server adresse angeben, google hilft hier.

mandal · 27. August 2015

Danke dir für den Tipp,
nach dem ich die keys.liveconfig auf allen Slaves bereinigt, die Domain komplett gelöscht, alle lokalen db's in den /var/named/xx.xx.db gelöscht und dann nochmals alles erstellt habe scheint es jetzt du funktionieren...

Was aber immer noch ein Problem ist ist DNSSEC da erhalte ich folgendes über http://dnscheck.pingdom.com/:

Broken chain of trust for w2k.info - DNSKEY found at child, but no DS was found at parent.

The child seems to use DNSSEC, but the parent has no secure delegation. Because of this, the chain of trust between the parent and the child is broken and validating resolvers will not be able to validate answers from the child.

Hat den jemand DNSSEC schon in betrieb?

Mercator1972 · 27. August 2015

Zitat von ManDal

Danke dir für den Tipp,
nach dem ich die keys.liveconfig auf allen Slaves bereinigt, die Domain komplett gelöscht, alle lokalen db's in den /var/named/xx.xx.db gelöscht und dann nochmals alles erstellt habe scheint es jetzt du funktionieren...

Was aber immer noch ein Problem ist ist DNSSEC da erhalte ich folgendes über http://dnscheck.pingdom.com/:

Broken chain of trust for w2k.info - DNSKEY found at child, but no DS was found at parent.

The child seems to use DNSSEC, but the parent has no secure delegation. Because of this, the chain of trust between the parent and the child is broken and validating resolvers will not be able to validate answers from the child.

Hat den jemand DNSSEC schon in betrieb?

Alles anzeigen

Hallo ManDal,

w2k.info
Name Server:
DNSSEC:Unsigned

Du hast deine Keys bei deinem Domainregistrars nicht hinterlegt.

LG

Thomas

leo · 4. September 2015

field
NS_PKGVERSION in table NAMESERVERS are short,

so it could not write "1:9.9.5.dfsg-9+deb8u3"

just "1:9.9.5.dfsg-9+deb8u"

mandal · 16. September 2015

Zitat von Mercator1972

Hallo ManDal,

w2k.info
Name Server:
DNSSEC:Unsigned

Du hast deine Keys bei deinem Domainregistrars nicht hinterlegt.

LG

Thomas

Alles anzeigen

Danke für den Hinweis, hat das jemand bei Hexonet schon probiert?
Der Support hapert da etwas bei denen und scheint nur über die API zu funktionieren.

Grüsse
ManDal

mandal · 11. Dezember 2015

Bin die DNS Verwaltung noch weiter am Testen und bin auf ein Problem gestossen wen ich ein LC Server hinter einem ReverseProxy stehen habe und da eine Test Seite (mit offizieller Domain) umstelle wird für den A Record die IP Adresse des LC Servers verwendet.

Was ein Problem ist da das eine IP aus einem Privaten Netzwerk ist und somit der DNS eintrag falsch ist.
Wen ich jetzt über Eigene DNS-Einträge eine IP Adresse hinterlege funktioniert das, ist aber ist nicht wirklich schön...

Was ich mir vorstellen könnte ist das wen man die Domain anlegt und auf Eigenen DNS Server stellt dort optional die öffentliche IP Adresse angegeben werden kann.

Kleines Update: Wen ich jetzt die DNS Einstellungen prüfen mit z.b. mxtoolbox erhalte ich zwei A Records mit der von Hand eingetragenen Adresse und der des Servers...

Jetzt mitmachen!